요약

  • 1988년 11월의 웜은 공유 소프트웨어, 신뢰 관계, 연결 가능성을 상관된 장애로 바꿔놓았다. 긴급 차단은 국지적 리스크를 억제했지만 경고와 치명적 수정(패치)의 전달도 함께 막았다.
  • 창설된 CERT Coordination Center는 사고 접수, 검증, 전문가 동원, 신뢰할 수 있는 안내로 이루어진 정보 통제 표면으로 이 역설에 응답했다. 참여 사이트에 명령할 권한은 없었다.
  • 그 유서한 교훈은 향수가 아니라 제도적 성격을 띤다. 분산된 네트워크는 소유나 강제가 아니라 유용성과 절제에서 신뢰를 얻는 얇은 공통 대응 계층을 필요로 할 수 있다.

연결성이 상관된 장애가 된 밤

1988년 11월 2일, Robert Tappan Morris가 작성한 프로그램이 초창기 인터넷을 가로질러 퍼지기 시작했다. 항소심 기록은 이 프로그램이 시도한 네 가지 경로를 나중에 기술했다. sendmail과 fingerd의 취약점, 신뢰 호스트 관계, 비밀번호 추측이 그것이다. 어느 경로 하나만으로는 이 사고가 역사적인 사건이 된 이유를 설명할 수 없다. 결정적 사실은 네트워크가 수많은 개별 관리 시스템을 하나의 노출 영역으로 결합했다는 점이었다.

법원 기록에 따르면 이 프로그램은 눈에 띄지 않고 일반적 사용에 실질적 지장을 주지 않은 채 확산되도록 설계되었다. 그러나 재감염 로직이 그 의도를 무의미하게 만들었다. 이미 감염됐다고 거짓 응답하는 기계를 다루기 위해 웜은 긍정 응답 7건 중 1건에 한해 진행했다. Morris는 기계들이 얼마나 자주 조회될지 과소평가했다. 중복 프로세스가 쌓여 시스템이 느려지거나 다운되었고 사실상 사용 불가능해졌다.

이것은 상관된 운영 리스크의 초기 사례였다. 인터넷 연결성, 공통 소프트웨어, 비공식적 신뢰는 평상시에 생산적인 자산이었다. 웜 아래에서는 같은 특징들이 개별 관리자가 상황을 파악하기보다 빠르게 장애를 전달했다. 이 사고는 현지 통제를 지우지 않았다. 대신 모든 사이트가 압박 속에서 같은 사실을 각자 다시 발견해야 할 때 현지 통제가 얼마나 할 수 있는 것이 없는지 드러냈다.

차단과 무너진 치유 경로

운영자들은 자신들이 가진 가장 명확한 권한에 의존했다. 격리다. 미국 회계감사원(GAO)은 많은 사이트가 대부분의 기계를 차단하고 통신과 분석용으로 한두 대만 남겨두었다고 기록했다. 그 결과 웜에 새로 열릴 경로의 수가 줄었다. 그러나 동시에 신뢰할 수 있는 수리물이 전달되어야 할 매체를 손상시켰다.

역설은 거의 즉시 나타났다. Morris와 하버드의 연락처는 익명의 치유 메시지를 유포하려 했지만 혼잡 때문에 늦어졌다. Berkeley 연구자들은 sendmail과 fingerd의 취약점을 확인해 패치를 게시했고, 금요일 저녁 무렵 대부분의 사이트가 웜을 제거했다. 그럼에도 대응은 고르지 않았다. 인터넷 자체가 혼잡하고 부분적으로 차단되어 있으며 보편적으로 신뢰받는 긴급 채널을 갖추지 못했기 때문에 정보는 전화, 팩스, 즉석 개인 네트워크를 통해 흐렸다.

정확한 규모는 여전히 불확실하다. 익숙한 6,000대 감염 수치는 공식 집계가 아니었다. GAO는 그 수치가 외삽에서 비롯되었으며 1,000~3,000대라는 추정도 기록했다. 손실 추정도 비슷하게 불안정한 분모 위에 놓여 있었다. 이 불확실성은 사건의 각주가 아니다. 그것은 빠진 역량의 증거다. 시의적절하고 방어 가능한 운영 상황을 조립할 수 있는 공통 접수 체계가 없었다는 것이다.

사후 분석의 제도적 진단

웜은 코드를 악용했지만 대응은 제도적 결손을 노출했다. 사고 이후 수집된 기술들은 중복 분석, 통보 상대에 대한 불확실성, 상충하는 수리 정보, 현지 전문성의 큰 격차를 기술했다. 대학의 컴퓨터과학 그룹이 실질적 제거 작업의 많은 부분을 맡았다. 정부 기관과 벤더는 관련 권한이나 지식을 갖고 있었지만 그 모든 역량을 사고 속도로 결합할 확립된 메커니즘은 없었다.

이 진단은 '중앙 조율'의 의미를 바꾼다. 문제는 어떤 단일 주체가 모든 기계를 조작할 권한이 없다는 것이 아니었다. 그런 권한을 부여하는 것은 설득력 없고 불필요했을 것이다. 빠진 기능은 더 좁았다. 보고를 접수하고 비교하며 민감한 공개를 보호하고 알맞은 전문가를 동원하고 벤더와 협력하며 사이트가 평가하고 활용할 수 있는 조언을 발행하는 기능이었다.

11월 중순, DARPA는 Carnegie Mellon University의 Software Engineering Institute에 Computer Emergency Response Team을 설립했다. 이후의 역사 발표는 창설 시점을 11월 17일로 기록한다. 초기 핵심은 5명이었으며, 상시 대기 상태의 100명 이상 전문가와 정부, 벤더, 사용자 커뮤니티에 걸친 관계가 이를 지탱했다. 작음은 우연이 아니었다. 그 센터는 분산된 역량을 대체하는 것이 아니라 그것들을 연결하는 스위치보드였다.

CERT가 의도적으로 좁게 설계한 통제 표면

GAO는 초기 세 가지 목적을 기술했다. 커뮤니티 대응을 조율하는 메커니즘, 취약점과 수리물을 다루는 지점, 선제적 보안 논의의 집결점이었다. 똑같이 중요한 것은 같은 기록이 CERT에 어떤 권한도 없다고 말한다는 점이다. 권고할 수는 있었다. 사이트들이 그 팀을 따르는 것은 팀의 신뢰와 커뮤니티 지지가 얻어졌을 때만 가능했다.

이 경계가 독특한 통제 표면을 만들었다. CERT는 정보의 흐름에 영향을 줄 수 있었다. 사고가 어떻게 보고되는지, 취약점 주장이 검증되는지, 어떤 벤더나 전문가에게 연락하는지, 수리물이 어떻게 구성되고 배포되는지가 그 대상이었다. 영향받은 시스템을 소유하지는 못했다. 대학, 연구소 또는 회사에 차단, 패치, 재연결을 강제할 수 없었다. 실행은 복수적이고 현지에 남았다.

따라서 신뢰는 운영 자본으로 작동했다. 기밀 보고서를 누출하거나, 신뢰할 수 없는 수리물을 퍼뜨리거나, 일시적 의존을 지휘 권리로 취급하는 조율자는 그 가시성이 의존하는 자발적 협력을 잃을 것이다. 반대로 신중한 검증과 절제는 사이트의 첫 관찰에서 더 넓은 커뮤니티의 안전한 행동까지의 거리를 줄였다. 신뢰는 기술 작업 이후 추가되는 상례적 성질이 아니라 그 기술 작업이 확장되도록 허용한 메커니즘의 일부였다.

법은 별개의 대응 계층이었다

법적 대응과 운영적 대응은 흔히 하나의 이야기로 압축된다. 그러나 둘은 다른 질문에 답했다. Morris에 대한 기소는 무단 접근과 그로 인한 피해가 Computer Fraud and Abuse Act에 어떻게 부합하는지 시험했다. 제2순회 항소법원은 그 유죄판결을 확정했다. 그 판결은 책임과 법정적 경계에 관한 것이었다.

CERT는 별개의 문제를 다루었다. 사실이 불완전하고 시스템이 여전히 위험한 동안 운영자들 사이에서 무엇이 일어나야 하는가? 법원은 증거가 수집된 뒤에 책임을 배정할 수 있다. 그러나 재판만으로는 새벽 세 시에 패치를 검증하거나, 벤더 엔지니어를 대학 관리자와 연결하거나, 기밀 보고 채널을 유지할 수 없다. 두 계층은 서로를 흉내 내지 않아도 되었기 때문에 공존할 수 있었다.

창설 설계가 승인하지 않은 것

집결점의 성공적 창설이 인터넷에 대한 주권 이전을 의미하지는 않았다. CERT를 취약점의 소유자, 벤더의 지휘자, 회원 네트워크의 관리자로 만들지 않았다. 1988년 설계가 모든 이후 사고 대응 조직이 같은 인센티브나 경계를 물려받았음을 증명하지도 않는다.

역사적 주장은 더 정확하다. 긴급 상황에서 공통 정보 계층은 현지 실행을 흡수하지 않고도 상당한 집단 역량을 만들 수 있다. 그 위임은 특정 운영 문제에 묶여 있고, 자신의 증거를 검사 가능하게 하며, 참여자가 결정하고 떠날 수 있는 능력을 보존할 때 정당성을 유지한다.

그래서 중립성은 취약하다. 조율자는 어떤 단일 참여자도 보지 못하는 보고서를 본다. 반복된 성공은 평판을 집중시킨다. 공적 자금이나 벤더 의존은 인센티브를 바꿀 수 있다. 얇은 계층은 조용히 두꺼워질 수 있다. 따라서 창설 기록의 권한 부정은 겸손한 표현이 아니라 구조적 제약으로 읽어야 한다.

왕좌가 아니라 스위치보드

Morris Worm은 인터넷이 보안 주권자를 필요로 함을 보여주지 않았다. 고립된 역량은 공유 장애 영역에 대해 너무 느렸다는 점을 보여주었다. 답은 별도의 책임을 유지한 사람들을 연결하는 것이었다. 코드를 분석할 수 있는 연구자, 제품을 고칠 수 있는 벤더, 자원을 동원할 수 있는 공공 기관, 그리고 자신의 시스템에서 유일하게 행동할 수 있는 운영자였다.

이것이 CERT/CC 시작의 내구 있는 교훈이다. 분산 운영이 제도를 불필요하게 만들지 않는다. 그것은 잘 설계된 제도가 무엇을 통제해야 하는지를 바꾼다. 가치 있는 공통 계층은 검증하고, 기억하고, 연결하고, 경고한다. 자신은 구동되는 관행과 믿을 수 있는 조언으로 자신을 증명한다. 정보적 우위가 검토 불가능한 지휘 권리로 바뀔 때 위험해진다.

인터넷의 긴급 스위치보드가 의미를 가진 이유는 다른 끝의 전화기들이 독립적이었기 때문이다.

출처와 증거의 한계

연표와 제도적 주장은RFC 1135,GAO의 1989년 6월 보고서,United States v. Morris항소심 기록, Eugene Spafford의기술 분석,전문 사고관리와1988 CERT 권고문에 관한 SEI의 역사 기록, SEI의기술 역사,1989년 GAO 증언, CERT/CC 시작에 관한 APRICOT의역사 기술, 그리고RFC 1147에 기록된 당대 도구 맥락에 기반한다. 완전한 기계 집계가 존재하지 않았기 때문에 감염과 손실 총계는 확정된 사실이 아니라 분쟁 중인 추정으로 제시된다.